KI-Digest KW 39

Guten Morgen,

die Umweltwörter-Regel gilt ab heute. Die zweite Frist ist am Mittwoch, und dazu ist etwas nachzutragen: Der Widerrufsbutton allein genügt nicht. Das Gesetz verlangt zusätzlich, dass die Widerrufsbelehrung beschreibt, wo der Button zu finden ist. Wer nur die Schaltfläche einbaut, hat die Hälfte gemacht.

Danach zwei Meldungen, die zusammengehören: ein KI-Agent, der irgendwo war, wo er nicht sein sollte — und die Frage, an wen man sich in Österreich wendet, wenn so etwas hier passiert.

Frist

Der Button allein genügt nicht

Am Mittwoch, dem 1. Oktober, tritt die Pflicht zur elektronischen Rücktrittsfunktion in Kraft. Sie greift dort, wo ein Vertrag tatsächlich über die Oberfläche zustande kommt — Shop, App, Buchungsstrecke, Kundenportal. Was danach individuell per Telefon oder E-Mail ausgehandelt und geschlossen wird, fällt nicht darunter.

Der Ablauf steht so im Gesetz: eine hervorgehobene, leicht zugängliche Schaltfläche „Vertrag widerrufen“, die während der gesamten Rücktrittsfrist erreichbar bleibt. Dahinter ein Formular mit genau drei Angaben — Name, Angaben zur Identifizierung des Vertrags, und auf welchem Weg die Bestätigung kommen soll. Am Ende eine zweite Schaltfläche, die ausschließlich mit „Widerruf bestätigen“ beschriftet sein darf; ein Zusatz wie „jetzt verbindlich“ ist dort nicht zulässig. Anschließend geht unverzüglich eine Eingangsbestätigung hinaus, die den Inhalt der Erklärung sowie Datum und Uhrzeit des Eingangs enthält.

Und der Teil, der leicht untergeht: Die Widerrufsbelehrung muss ab Mittwoch auch über Bestehen und Platzierung dieser Funktion informieren. Der Button muss also nicht nur da sein — es muss auch im Text stehen, wo er sitzt. Wer nur die Schaltfläche einbaut und die Belehrung unverändert lässt, erfüllt eine von zwei Pflichten.

Was das für Sie heißt: Drei Tage. Bei einer gängigen Shop-Software zuerst beim Anbieter nachfragen — und dabei gleich fragen, ob die mitgelieferte Widerrufsbelehrung den Hinweis auf die Platzierung schon enthält. Bei selbst gebauten Seiten braucht es beides von Hand. Der Strafrahmen liegt bei bis zu 1.450 Euro. Maßgeblich sind Verträge, die nach dem 30. September geschlossen werden; für laufende Verträge ändert sich nichts.

Quellen: WKO, Informationspflichten für Webshops · Bundesgesetzblatt I Nr. 59/2026

Praxis

Ein KI-Agent war dort, wo ihn niemand haben wollte

Australiens Premierminister hat am vergangenen Samstag öffentlich gemacht, dass ein KI-Agent von OpenAI sich unbefugt Zugang zur Datenbank des staatlichen Gesundheitsdienstes Medicare verschafft hat. Betroffen waren mindestens vier Behördenseiten. OpenAI erklärt, es sei nicht absichtlich geschehen und es seien keine privaten Daten gefährdet worden. Die Chefs von OpenAI und Anthropic wurden vor einen Senatsausschuss geladen.

Die Zeitachse ist der eigentliche Punkt. Der Zugriff fand im Juni statt. OpenAI hat ihn im August entdeckt. Öffentlich wurde er im September. Wie der Agent hineinkam, sagt bislang keine der Meldungen — und wir behaupten es hier auch nicht.

Das ist kein Argument gegen KI-Assistenten. Es ist ein Argument dafür, vorher zu wissen, was sie erreichen können. Ein Assistent, der Termine einträgt, Mails vorsortiert oder Angebote heraussucht, braucht Zugang zu Postfach, Kalender oder Kundendaten. Dieser Zugang ist der interessante Teil, nicht das Gespräch mit dem Assistenten.

Was das für Sie heißt: Zwei Fragen, für jeden KI-Dienst, den Sie angebunden haben. Erstens: Worauf hat er Zugriff — nur lesen oder auch schreiben und senden? Zweitens, die unangenehmere: Würde ich es merken? Wenn ein Weltkonzern zwei Monate gebraucht hat, ist die Frage nicht unfair. Wo es nur ums Lesen geht, genügt oft ein Zugang mit weniger Rechten.

Quelle: Bericht zur Senatsvorladung, 27. September 2026

In eigener Sache

Wenn Sie die Website diese Woche ohnehin öffnen

Die meisten Besucher schauen, gehen wieder und bleiben namenlos. Unser Leads-Magnet macht daraus eine kurze, freundliche Strecke, an deren Ende eine echte Anfrage steht — mit Namen, Anliegen und Erreichbarkeit, sauber eingeholt und dokumentiert. Einrichtung 300 Euro, danach 29 Euro im Monat.

Ansehen

Einordnung

Volle Pflicht, keine Aufsicht

Angenommen, ein ähnlicher Vorfall passiert hier. An wen wendet man sich? Die Antwort ist unbefriedigend, aber es ist gut, sie vorher zu kennen. Die KI-Verordnung verlangt von jedem Mitgliedstaat eine Marktüberwachungsbehörde. Die Frist dafür war der 2. August 2025. In der offiziellen Liste der Europäischen Kommission steht bei Österreich bis heute ein Strich.

Auch die staatliche KI-Servicestelle schreibt es selbst: „Derzeit gibt es noch keine nationale Umsetzung der Zuständigkeiten des AI Act in Österreich.“ Sie berät und informiert, sie ist keine Aufsicht. Ein Durchführungsgesetz gibt es nicht, nicht einmal einen Entwurf in Begutachtung; der einzige Antrag im Parlament wurde zweimal vertagt. Ein Vertragsverletzungsverfahren gegen Österreich ist deswegen bislang nicht öffentlich dokumentiert.

Wichtig ist, was daraus nicht folgt. Die KI-Verordnung ist eine Verordnung und gilt unmittelbar. Die Transparenzpflichten — der Chatbot, der sich als KI zu erkennen gibt, die Kennzeichnung täuschend echter KI-Inhalte — gelten seit 2. August 2026 vollständig. Was fehlt, ist nur die Behörde, die sie durchsetzt. Die Pflicht besteht, der Prüfer fehlt. Auf so einen Zustand würde ich keinen Betrieb aufbauen: Der Wettbewerbsweg funktioniert schon heute, und eine Behörde kann jederzeit kommen — rückblickend auf einen Zustand, der dann schon lange sichtbar war.

Was das für Sie heißt: Einen funktionierenden Weg gibt es. Wo bei einem KI-Vorfall personenbezogene Daten im Spiel sind, ist die Datenschutzbehörde zuständig und kann ein Verfahren führen — dort kann man Beschwerde einbringen. Für fachliche Auskünfte zur KI-Verordnung antwortet die KI-Servicestelle unter ki@rtr.at. Für alles darüber hinaus gibt es derzeit keine Adresse.

Quellen: Europäische Kommission, Liste der Marktüberwachungsbehörden · RTR KI-Servicestelle, FAQ · Datenschutzbehörde zu KI

Wenn Sie diese Woche nur drei Dinge tun

1. Falls online Verträge zustande kommen: bis Mittwoch Rücktrittsfunktion und Hinweis auf ihre Platzierung in der Widerrufsbelehrung.

2. Aufschreiben, welcher KI-Dienst Zugang zu Postfach, Kalender oder Kundendaten hat. Eine Liste auf einem Blatt genügt fürs Erste.

3. Für den Kalender: Am 2. Dezember endet die Übergangsfrist für die Kennzeichnung von Inhalten, die mit vor August eingeführten Werkzeugen erzeugt werden.

Kennen Sie jemanden, der einen KI-Assistenten an sein Postfach gelassen hat? Die zweite Meldung ist für den gedacht — leiten Sie sie einfach weiter. Angemeldet wird man unter forms.mitkipro.eu/anmelden.

Fragen oder Anregungen? Schreiben Sie mir an ronald@mitkipro.eu. Ich lese jede Nachricht selbst.

Bis nächsten Sonntag,

Ronald Wiplinger

Mit KI Pro FlexCo, Wien